JP2022153935A - 車両プログラム更新装置、車両、車両情報管理サーバ、プログラム更新方法 - Google Patents

Abstract

【課題】車両が搭載する複数の制御装置についての機能変更を柔軟に管理する車両プログラム更新装置を提供する。【解決手段】プログラムを無線通信手段で配信サーバから取得するプログラム取得部と、プログラム取得部が取得したプログラムを車両制御部に書き込み処理をするプログラム書込部と、プログラム書込部が処理したプログラムから、当該プログラムに含まれる車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得部と、指示情報に基づいてフラグ情報を利用可能な状態または機能制限の状態にするようにプログラムに書き込むフラグ情報書込部と、車両制御部にインストールされたプログラムのバージョン情報と、プログラムに含まれる少なくとも１つのフラグ情報を車両情報管理サーバに送信する送信部とを備え、車両はフラグ情報で利用可能となっている所定の機能を実行することを特徴とする車両プログラム更新装置。【選択図】図２

Description

本発明は、車両に搭載される制御装置についてのプログラムの更新や管理をおこなう車両プログラム更新装置、車両情報管理サーバ、プログラム管理方法に関する。

近年の車両は無線技術を利用してネットワークと接続される、いわゆるコネクテッド化が進行している。コネクテッド化は将来的に自動運転等の快適な運用が期待される反面、ネットワークを介して車両が攻撃されるセキュリティリスクを増大させている。現在の車両には多くの制御装置が使用されており、それら制御装置（ＥＣＵ）を制御するためのプログラム（ソフトウェア）については機能追加や修正を伴う更新が必要である。プログラムの更新管理は車両の安全性と直結するため、国際標準規格に基づく法令による規制が適用されようとしている。その規制においては、プログラムについて更新管理の徹底が求められている。

特開２０１４－４８８００号公報

特許文献１には、車両と接続してプログラムを更新する保守機器に接続されて更新作業をおこなうコンピュータについて、認証されたコンピュータだけにプログラムの更新を許可する認証システムが開示されている。しかし車両に搭載された制御装置のプログラム更新が無線通信手段、具体的にはＯＴＡ技術（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）によっておこなわれることが通常の運用になった場合、各車両の有する複数の制御装置についてのプログラムの更新履歴には相違が出るので、不正利用を防ぐだけでは十分ではなく、車両ごとにプログラムの更新管理が必要になる。また車両に搭載された制御装置はセキュリティの観点からプログラムのダウングレードは許されておらず、いったん新たな機能を追加すると昔のバージョンのプログラムには戻せないため機能追加や削除について柔軟な運用ができないという課題がある。また開発元が異なる複数のＥＣＵの間で通信を行い統合制御する場合、初期配布されたプログラムから機能アップをするため、新たなプログラムへ更新する際に、車両ごとの事情が異なるため複数のＥＣＵで実行されるプログラム間での整合をとることが困難になる問題点もある。
本発明は上記背景に鑑みてなされたものであり、車両が搭載する複数の制御装置についての機能追加と機能制限を柔軟に管理する車両プログラム更新装置、車両、車両情報管理サーバ、及びプログラム管理方法を提供することを目的とする。

上記目的を達成するための一態様として、車両に搭載された車両制御部にインストールされるプログラムを無線通信手段で配信サーバから取得するプログラム取得部と、前記プログラム取得部が取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込部と、前記プログラム書込部が処理した前記プログラムから、当該前記プログラムに含まれる前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得部と、指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込部と、前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバに送信する送信部と、を備え、前記車両は前記フラグ情報で利用可能となっている前記所定の機能を実行することを特徴とする車両プログラム更新装置が挙げられる。

上記車両プログラム更新装置において、前記送信部は、前記車両制御部にインストールされた前記プログラムに含まれる機能制限の状態にされた前記所定の機能に関する情報である機能制限情報を前記車両情報管理サーバに送信する構成としてもよい。

上記車両プログラム更新装置において、前記指示情報は、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成され、前記フラグ情報書込部は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込む構成としてもよい。

上記車両プログラム更新装置において、前記指示情報は、前記車両の管理者によって前記所定の機能についての課金処理を完了したことに基づいて生成され、前記フラグ情報書込部は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込む構成としてもよい。

上記車両プログラム更新装置において、所定の第１機能について、予め定められた第１利用可能期間の間、前記利用可能な状態が許可されている場合、前記第１利用可能期間が経過した後に前記第１機能について前記機能制限の状態とする前記フラグ情報を生成するフラグ情報生成部をさらに備える構成としてもよい。

上記目的を達成するための第２態様として、上記の第１態様のうちのいずれかに記載の車両プログラム更新装置を搭載する車両が挙げられる。

上記目的を達成するための第３態様として車両情報管理サーバであって、車両を管理する車両情報管理サーバであって、無線通信手段を介して前記車両に搭載された車両制御部にインストールされるプログラムを取得して管理をおこなう車両プログラム更新装置に対して、前記プログラムに含まれて前記車両制御部の機能について、前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を管理するフラグ情報管理部を有することを特徴とする車両情報管理サーバが挙げられる。

上記車両情報管理サーバにおいて、前記フラグ情報管理部は、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて前記フラグ情報を管理する構成としてもよい。

上記車両情報管理サーバにおいて、前記フラグ情報管理部は、所定の第２機能について、予め定められた第２利用可能期間の間、前記利用可能な状態が許可されている場合、前記第２利用可能期間が経過した後に前記第２機能について前記機能制限の状態とする前記フラグ情報を生成する構成としてもよい。

また上記目的を達成するための第４態様として、車両に搭載された車両制御部にインストールされるプログラムを無線通信手段で配信サーバから取得するプログラム取得ステップと、前記プログラム取得ステップで取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込ステップと、前記プログラム書込ステップで処理した前記プログラムから、当該前記プログラムに含まれる前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得ステップと、指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込ステップと、前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバに送信する送信ステップと、を備え、前記車両は前記フラグ情報で利用可能となっている前記所定の機能を実行することを特徴とするプログラム管理方法が挙げられる。

上記プログラム管理方法において、前記フラグ情報取得ステップは、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成される前記フラグ情報を取得する構成としてもよい。

上記車両プログラム更新装置、車両、車両情報管理サーバ、プログラム管理方法によれば、車両に搭載される機器を制御する制御装置が実現する機能について機能制限の状態と、利用可能な状態とを切り替えることが可能になる。そのためプログラム更新管理についての法令による規制の範囲内で、機能の追加と削除が柔軟に行えるようになるという効果を奏する。

図１は、車両プログラム管理システムの説明図である。 図２は、車両情報管理サーバと車両制御部の構成図である。 図３は、車両プログラム更新装置の機能ブロック図である。 図４は、車両情報管理サーバの機能ブロック図である。 図５は、車両プログラム更新装置が各ＥＣＵのプログラムの書き込みやフラグ情報の書き込みをおこなう動作のフローチャートである。 図６は、車両プログラム更新装置におけるフラグ情報生成動作についてのフローチャートである。 図７は、課金等による機能の変更とフラグ情報の対応の一例を示す表である。 図８は、車両管理者の承認情報や課金情報に基づいた機能変更の動作を説明するフローチャートである。 図９は、車両情報管理サーバによる機能変更動作のフローチャートである。

以下、図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明、または、実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が必要以上に冗長になるのを避け、当業者の理解を容易にするためである。
なお、添付図面および以下の説明は、当業者が本開示を十分に理解するために提供されるのであって、これらにより特許請求の範囲に記載の主題を限定することを意図していない。

［１－１．第１の実施形態に係る車両プログラム更新装置と車両情報管理サーバの構成］
図１は、車両Ｖにおける車両プログラム管理システム１の説明図である。車両Ｖが無線通信手段ＷＬによるプログラム更新や、制御装置における機能の変更に対応している場合、すなわちＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）による車両制御装置１００におけるプログラム更新や機能の変更が可能な場合、車両情報管理サーバ５や配信サーバ７から車両Ｖへサービスが提供される。具体的には、更新プログラムが配信サーバ７から車両ＶへネットワークＮと基地局Ｂを介して配信される。また機能変更についての情報が車両情報管理サーバ５から車両ＶへネットワークＮと基地局Ｂを介して配信される。このとき機器認証サーバ１０によって認証された車両Ｖと車両制御装置１００だけがプログラム更新や機能の変更の対象となるように管理される。またプログラムの更新履歴は、車両Ｖの車両識別番号に紐づけられて、例えば車両情報管理サーバ５で管理される。

なお本明細書において車両とは、四輪車や二輪車といった移動体を意味する。移動体は可燃性の燃料を用いた内燃機関を含む駆動系を有してもよいし、もちろん電池に蓄えられた電気エネルギーや水素エネルギーといったその他のエネルギー源によって駆動されてもよい。

本実施形態に係る車両情報管理サーバ５を含む車両プログラム管理システム１は、車両Ｖに搭載される複数の車両制御部のそれぞれに保持され実行される複数のプログラムについて、その更新管理をおこなう車両プログラム管理システムであって、複数のプログラムの組み合わせであるプログラム構成を管理する車両情報管理サーバ５と、プログラムを配信する配信サーバ７と、車両や車両制御部の認証をおこなう機器認証サーバ１０とを含む。車両情報管理サーバ５と、配信サーバ７と、機器認証サーバ１０は、情報処理、情報提供、情報の保存をおこなう情報処理装置であり、具体的にはコンピュータであってよい。車両情報管理サーバ５と、配信サーバ７と、機器認証サーバ１０と、車両制御装置１００は、ネットワークＮを介して情報のやり取りをおこなう。車両情報管理サーバ５と、配信サーバ７と、機器認証サーバ１０は、それぞれにインストールされたソフトウェア（プログラム）を実行することでその機能を実現する。

図２は、第１の実施形態に係る車両プログラム更新装置１１０と、車両情報管理サーバ５と、配信サーバ７の構成を説明する構成図である。

車両情報管理サーバ５は、車両情報管理サーバ５全体の制御をおこなう制御装置１６０を備える情報処理装置である。制御装置１６０は、情報処理を行うプロセッサ１７０と、情報を記憶する記憶部１７２を含む。プロセッサ１７０は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であり、記憶部１７２は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａｄ ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（ハード ディスク ドライブ）やＳＳＤ（ソリッド ステート ドライブ）等の記憶媒体を含む。記憶部１７２は後述するフラグ情報を記憶するフラグ情報記憶部１７６を備える。

配信サーバ７は、配信サーバ７全体の制御をおこなう制御装置１８０を備える情報処理装置である。制御装置１８０は、情報処理を行うプロセッサ１９０と、情報を記憶する記憶部１９２を含む。プロセッサ１９０は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であり、記憶部１９２は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａ ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（ハード ディスク ドライブ）やＳＳＤ（ソリッド ステート ドライブ）等の記憶媒体を含む。記憶部１９２は、車両プログラム更新装置１１０や後述する車両制御部、具体的にはＥＣＵで各種機能を実現するプログラムを記憶するプログラム情報記憶部１９４を備える。

車両制御装置１００は、車載機器１０１と、車両Ｖの備える各装置を制御する情報処理装置である個別の車両制御部、具体的にはＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）のプログラム（ソフトウェア）の管理をおこなう車両プログラム更新装置１１０、情報が入力される入力部１２５と、情報が出力される出力部１２６を備える。入力部１２５は、車載のＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）システムにおけるタッチパネルであってよい。出力部１２６はＩＶＩが備える画像表示装置や、メーター部分に設けられた画像表示装置であってよい。出力部１２６は、例えば運転者席のインスツルメントパネルに設けられてよい。具体的に出力部１２６は、メーターパネルに組み込まれた、いわゆるマルチインフォメーション・ディスプレイ（ＭＩＤ：Ｍｕｌｔｉ Ｉｎｆｏｒｍａｔｉｏｎ Ｄｉｓｐｌａｙ）として構成されてもよい。なお本明細書においては各装置を制御する制御装置、具体的にはＥＣＵを車両制御部とも表現する。

車載機器１０１は、車両に搭載される複数の装置と、それらを制御する複数の車両制御部（ＥＣＵ）を含んで構成されている。具体的に車両制御部は、例えば、無線通信をおこなうためのＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１２２を車両制御部の一つとして含んでよい。また車両Ｖの車載機器１０１は、車両Ｖの乗員に情報を提供するＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）システム１３１と、エンジン１５２を制御するエンジンＥＣＵ１３２と、シフト装置１５３を制御するシフトＥＣＵ１３３と、ステアリグ装置１５４を制御するステアリングＥＣＵ１３４と、メーター１５５を制御するメーターＥＣＵ１３５を含んでよい。各ＥＣＵは、バス１０２を介して車両プログラム更新装置１１０と接続されて、情報の送受信をおこなう。ここでエンジン１５２とは、内燃機関を含む駆動系を意味するだけではなく、電気で駆動されるモーター等であってもよい。

ＩＶＩシステム１３１は、ソフトウェア（プログラム）ＳＷ－ＩＶＩ１４１を実行することでその機能を実現し、エンジンＥＣＵ１３２は、ソフトウェアＳＷ－ＥＧ１４２を実行することでその機能を実現し、シフトＥＣＵ１３３は、ソフトウェアＳＷ－ＳＦ１４３を実行することでその機能を実現し、ステアリングＥＣＵ１３４は、ソフトウェアＳＷ－ＳＴ１４４を実行することでその機能を実現し、メーターＥＣＵ１３５は、ＳＷ－ＭＴ１４５を実行することでその機能を実現する。そして各ソフトウェアは、無線通信手段ＷＬを介し、車両プログラム管理システム１によりプログラムが更新され、機能の変更がおこなわれる。

また車載機器１０１には、ＩＶＩシステム１３１を通じてＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）１２３から得られた時刻情報や、ＴＣＵ１２２とネットワークＮを通じて、例えば車両情報管理サーバ５から得られた時刻情報を取得して、車両プログラム更新装置１１０等へ提供する時刻提供部１３６が備えられる。

各ＥＣＵは具体的にはＣＰＵ等のプロセッサ、実行プログラムが書き込まれたＲＯＭや、装置を制御するためのデータを一時記憶するＲＡＭ、その他データを保持するＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等を備えるコンピュータである。具体的には車両情報管理サーバ５から無線通信手段ＷＬを介して受信したプログラムをコンピュータであるＥＣＵが実行することで車載機器１０１が含む装置の制御が実行される。上記各ＥＣＵに代えて又はこれに加えて、上記各ＥＣＵの全部又は一部を、それぞれ一つ以上の電子回路部品を含むハードウェアにより構成することもできる。車両プログラム管理システム１が含む車両プログラム更新装置１１０や車両情報管理サーバ５等の動作については、後述する図５、図６等で詳細に説明する。

なお本明細書における無線通信手段ＷＬ、無線通信手段としては、例えば、ＷｉＦｉ（登録商標）やＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格による無線通信が考えられる。

図３は、車両プログラム更新装置１１０の機能ブロック図である。車両プログラム更新装置１１０は、車両Ｖに搭載される複数の車両制御部（ＥＣＵ）と接続されて、複数の車両制御部のそれぞれに保持され実行される複数のプログラムの更新や機能の変更のための情報処理をおこなう装置である。具体的には車両プログラム更新装置１１０は、複数のＥＣＵのそれぞれにインストールされる複数のプログラムを外部装置である車両情報管理サーバ５から取得するプログラム取得部２３１と、取得したプログラムを各ＥＣＵにインストールする、すなわち書き込むプログラム書込部２３２と、プログラムを実行することで各ＥＣＵが実現する機能について、プログラムに含まれて車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を車両情報管理サーバ５から取得するフラグ情報取得部２３３と、フラグ情報を各ＥＣＵに書き込むフラグ情報書込部２３６を備える。換言すると、フラグ情報書込部２３６は、指示情報に基づいてフラグ情報を、車両制御部の所定の機能を利用可能な状態または機能制限の状態にするようにプログラムに書き込む。ここで指示情報とは機器認証サーバ１０の認証に基づいて車両情報管理サーバ５が生成する、特定の車両Ｖの特定の車両制御部で実行されるプログラムにフラグ情報を書き込むことを許可する情報であってよい。また指示情報は、車両Ｖの管理者によって所定の機能についての車両Ｖへの実行が承認されたことに基づいて生成されてよい。あるいは指示情報は、車両Ｖの管理者によって所定の機能についての課金処理を完了したことに基づいて生成されてよい。

また車両プログラム更新装置１１０は、車両制御部にインストールされたプログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つのフラグ情報を車両情報管理サーバ５に送信する送信部２３７を備える。また送信部２３７部は、車両制御部にインストールされたプログラムに含まれる機能制限の状態にされた所定の機能に関する情報である機能制限情報を車両情報管理サーバ５に送信する。

車両はフラグ情報で利用可能となっている所定の機能を実行する。換言すると、各ＥＣＵにはフラグ情報を変更することで利用可能な状態になる所定の機能を予め備えたプログラムがインストールされている。

フラグ情報取得部２３３は、車両Ｖの管理者によって所定の機能についての前記車両への実行が承認されたことに基づいて生成されるフラグ情報を取得することが望ましい。

車両Ｖの管理者による課金情報や承認情報に基づくフラグ情報取得部２３３の動作については後述する図８で詳細に説明する。

また車両プログラム更新装置１１０は、所定の第１機能について、予め定められた第１利用可能期間の間、利用可能な状態が許可されている場合、第１利用可能期間が経過した後に第１機能について機能制限の状態とするフラグ情報を生成するフラグ情報生成部２３４をさらに備えてよい。フラグ情報生成部２３４の動作については後述する図６で詳細に説明する。

なおプログラム取得部２３１の機能と、プログラム書込部２３２の機能と、フラグ情報取得部２３３の機能と、フラグ情報生成部２３４の機能と、フラグ情報書込部２３６の機能と、送信部２３７の機能は、車両プログラム更新装置１１０にインストールされたプログラムを車両プログラム更新装置１１０が実行することで実現される。ここで、例えば車両プログラム更新装置１１０が初期状態ではフラグ情報による機能に対応していないプログラムがインストールされていた場合でも、プログラムを更新することで、フラグ情報の取得動作や、フラグ情報の各車両制御部への書き込み動作等が可能になってよい。

図４は、車両情報管理サーバ５の機能ブロック図である。車両情報管理サーバ５は、各車両Ｖの備える車両制御装置１００が含む各ＥＣＵの機能を実現させる複数のプログラムについて、その複数のプログラムの組み合わせであるプログラム構成とフラグ情報、及び、プログラム自体とその更新を管理する。具体的には各プログラムのバージョンを管理し、各車両Ｖのために最適なプログラム構成になるように管理をおこなう。なおプログラム構成は、それぞれの車両Ｖの車両識別番号に紐づけられていてよい。車両情報管理サーバ５では、車載機器１０１の各ＥＣＵにインストールされたプログラム構成が履歴管理され、法令に則った状態とするプログラム構成管理部２４４を備える。

車両情報管理サーバ５は、無線通信手段、具体的には無線通信手段ＷＬを介して車両Ｖに搭載された車両制御部にインストールされるプログラムを取得して管理をおこなう車両プログラム更新装置１１０に対して、プログラムに含まれて車両制御部の機能について、機能制限の状態と、利用可能な状態とを切り替え可能なフラグ情報を管理するフラグ情報管理部２４１を有する。

ここでフラグ情報管理部２４１は、車両Ｖの管理者による課金や承認に基づいてフラグ情報を管理してよい。車両情報管理サーバ５における課金や承認に基づいたフラグ情報の管理の動作については、後述する図８で詳細に説明する。

またフラグ情報管理部２４１は、所定の第２機能について、予め定められた第２利用可能期間の間、利用可能な状態が許可されている場合、第２利用可能期間が経過した後に第２機能について機能制限の状態とするフラグ情報を生成してよい。当該フラグ情報管理部２４１の動作については後述する図９で詳細に説明する。

車両情報管理サーバ５はまた、車両Ｖの管理者による課金情報を管理する課金情報管理部２４２と、車両Ｖに紐づけられた認証情報を管理する認証情報管理部２４３をさらに備える。課金情報管理部２４２や、認証情報管理部２４３は、フラグ情報管理部２４１とプログラム構成管理部２４４、及び、車両Ｖの車両制御装置１００、具体的には車両プログラム更新装置１１０と協働して、車両Ｖについて、その課金・承認の状態に基づいた機能を実現させる。

車両情報管理サーバ５において、フラグ情報管理部２４１の機能と、課金情報管理部２４２の機能と、認証情報管理部２４３の機能と、プログラム構成管理部２４４の機能は、車両情報管理サーバ５にインストールされたプログラムを実行することで実現される。

［１－２．車両プログラム更新装置や車両情報管理サーバ等の動作］
図５は、車両プログラム管理システム１において、第１の実施形態に係る車両プログラム更新装置１１０が各ＥＣＵのプログラムの更新や機能の変更をおこなう動作のフローチャートである。

まず機器認証サーバ１０が、車両Ｖについてセキュリティ解除に基づきプログラム書き込みを許可する（ステップＳ１）。次に機器認証サーバ１０は、配信サーバ７へプログラム書き込み許可情報を送信する。配信サーバ７は対象となる車両Ｖの車両プログラム更新装置１１０へ、車両制御部を制御するためのプログラムを送信する（ステップＳ２）。車両プログラム更新装置１１０のプログラム取得部２３１は車両情報管理サーバ５からプログラムを取得する。なおここで言うプログラムとは、各ＥＣＵの制御プログラムを更新させる更新プログラムであってもよい。

車両プログラム更新装置１１０のプログラム書込部２３２は、対象となる車両制御部（ＥＣＵ）に、プログラムを書き込む（ステップＳ３）。プログラムを書き込まれた車両制御部は、例えばプログラムが書き込まれた後で最初にイグニッションキーがＯＮになった場合に、新たに書き込まれたプログラムを実行し、装置の制御を実現する（ステップＳ６）。

さて機器認証サーバ１０が、車両Ｖについてセキュリティ解除に基づきフラグ書き込みを許可する（ステップＳ４）。次に機器認証サーバ１０は、車両情報管理サーバ５へフラグ書き込み許可情報を送信し、車両情報管理サーバ５のフラグ情報管理部２４１は、フラグ書き込み許可情報を取得する。フラグ書き込み許可情報に基づいて、車両情報管理サーバ５のフラグ情報管理部２４１は、対象となる車両Ｖの車両プログラム更新装置１１０へ、車両制御部の機能を変更するためのフラグ情報を送信する（ステップＳ５）。車両プログラム更新装置１１０のフラグ情報取得部２３３は、車両情報管理サーバ５からフラグ情報を取得する。

車両プログラム更新装置１１０のフラグ情報書込部２３６は、対象となる車両制御部（ＥＣＵ）に、フラグ情報を書き込む（ステップＳ７）。プログラムを書き込まれた車両制御部は、例えばフラグ情報が書き込まれた後で最初にイグニッションキーがＯＮになった場合に、新たに書き込まれたフラグ情報に基づいて機能を変更し、プログラムを実行することで所定の機能制限を解除して装置の新たな機能を実現する（ステップＳ８）。機器認証サーバ１０は車両制御部に対してプログラムのバージョン情報を要求する。そして車両制御部はバージョン情報を機器認証サーバ１０へ送信し、車両プログラム更新装置１１０は車両情報管理サーバ５へバージョン情報を送信する。車両情報管理サーバ５は、当該バージョン情報を保存する（ステップＳ１０）。

図６は、車両プログラム更新装置１１０におけるフラグ情報生成動作についてのフローチャートである。車両プログラム更新装置１１０は、時刻提供部１３６から時間情報を取得して、所定のＥＣＵについての所定の第１機能について、その利用可能期間である第１利用期間が経過したかどうかについて判定する（ステップＳＡ１）。具体的には車両プログラム更新装置１１０はタイマー機能を有し、第１機能が利用可能になった日時から第１利用期間が経過したかどうかを判定する。第１利用期間が経過していない場合（ステップＳＡ１：ＮＯ）、ＳＴＡＲＴに戻る。第１利用期間が経過していた場合（ステップＳＡ１：ＹＥＳ）、車両プログラム更新装置１１０が有するフラグ情報生成部２３４が第１機能を機能制限の状態にするフラグ情報を生成し（ステップＳＡ２）、フラグ情報書込部２３６が対象となる車両制御部に機能制限をおこなうフラグ情報を書き込む（ステップＳＡ３）。

第１利用期間は、例えば１週間であってよい。

図７は、課金等による機能の変更とフラグ情報の対応の一例を示す図表である。例えば、シフト装置１５３の制御をおこなうシフトＥＣＵ１３３の機能を実現するＳＷ－ＳＦ１４３について考えてみる。具体的には初期状態のＳＷ－ＳＦ１４３においては、フラグ情報としては０が書き込まれており、運転支援機能は無い状態であるとする。それに対して、運転支援機能レベル１を追加する無償キャンペーンが行われた場合、ＳＷ－ＳＦ１４３に対してフラグ情報として「１」が書き込まれ、運転支援機能レベル１に対応する機能が利用可能となる。また例えばスポーティな走りを実現するシフトアクションが実現される運転支援機能レベル２を体験してもらうために、利用期間を限定して新たな機能を体験可能にする時限キャンペーンが行われた場合、ＳＷ－ＳＦ１４３に対してフラグ情報として「２」が書き込まれ、運転支援機能レベル２に対応する機能が利用可能になる。このとき運転支援機能レベル２について１か月のお試し期間が第１利用可能期間として設定されていた場合、車両プログラム更新装置１１０は第１利用期間が経過すると、車両プログラム更新装置１１０はフラグ情報として例えば「０」をＳＷ－ＳＦ１４３に書き込み、運転支援機能無しの状態に戻す。

なお本実施形態ではフラグ情報の生成を車両プログラム更新装置１１０でおこなったが、車両情報管理サーバ５がフラグ情報を生成する態様も考えられる。当該態様については、後述する第３の実施形態において説明する。

図８は、車両Ｖの管理者の承認情報や課金情報に基づいて機能を変更する動作を説明するフローチャートである。例えば、車両Ｖの管理者が有償オプションに相当する機能の追加を常時可能にするサブスクリプション契約を締結していたとする。当該契約期間中に新たな機能を利用可能な状態にするサービスが提供された場合、車両管理者の有する携帯端末から有償オプションに相当する機能を追加することを承認する承認情報が送信されたとする（ステップＴ１）。このときサブスクリプション契約に基づいた月額利用料金を車両管理者が支払っていることについての課金情報が車両情報管理サーバ５へ送信されてよい。また車両管理者からの送信かどうかについて、車両Ｖに紐づけられた車両識別番号等と車両管理者の有する携帯端末の対応を機器認証サーバ１０が検証することも考えられる。機器認証サーバ１０による検証結果を車両情報管理サーバ５の認証情報管理部２４３に送信し、認証情報管理部２４３が機能解除処理を進めるかどうか判定してよい。また課金情報に基づいて車両情報管理サーバ５の課金情報管理部２４２が機能解除処理を進めるかどうかを判定してもよい。

承認情報や課金情報を取得した車両情報管理サーバ５は、有償オプションの対象となっている車両制御部の機能について、利用可能な状態にするフラグ情報を生成して（ステップＴ２）、当該フラグ情報を車両プログラム更新装置１１０へ送信する（ステップＴ３）。フラグ情報を取得した車両プログラム更新装置１１０は、当該フラグ情報を対象となる車両制御部に書き込む（ステップＴ４）。そしてフラグ情報をプログラムに書き込まれた車両制御部は、利用可能となった機能の機能制限を解除し、機能を利用可能な状態にする（ステップＴ５）。車両プログラム更新装置１１０は、プログラムのバージョン情報を車両制御部に要求し（ステップＴ６）、車両制御部はバージョン情報を車両プログラム更新装置１１０へ送信する。具体的には、各ＥＣＵのプログラムに書き込まれたフラグ情報をバージョン情報として取得して車両プログラム更新装置１１０へ送信してよい。車両プログラム更新装置１１０は車両情報管理サーバ５へバージョン情報を送信し、車両情報管理サーバ５はバージョン情報を保存する（ステップＴ７）。

図７に戻って図８の動作について更に説明する。有償オプションとして、例えば燃費を向上させるシフトアクションが実現される運転支援機能レベル３が設定されているとする。車両Ｖの管理者が、当該有償オプションに相当する課金１を行ったという情報を機器認証サーバ１０が受け取った場合、機器認証サーバ１０はフラグ情報書き込み許可情報を車両情報管理サーバ５に送信する。そして図５に示したフローに従って車両プログラム更新装置１１０がＳＷ－ＳＦ１４３にフラグ情報として「３」を書き込み、運転支援機能レベル３に相当する機能を、シフトＥＣＵ１３３に制御されたシフト装置１５３が実現する。
［２－１．第２の実施形態に係る車両の構成］
第２の実施形態に係る車両は、第１の実施形態に係る車両プログラム更新装置１１０を備える車両である。車両プログラム更新装置１１０の物理的構成は、第１の実施形態に係る車両プログラム更新装置１１０の構成と同様なので詳細な記載を省略する（図２参照）。また車両プログラム更新装置１１０の機能についても、図３に示した機能ブロックと同様なので詳細な記載を省略する。

［２－２．第２の実施形態に係る車両の動作］
第２の実施形態に係る車両の動作は、第１の実施形態に係る車両プログラム更新装置１１０の動作（図５及び図６参照）と同様なので詳細な記載は省略する。

［３－１．第３の実施形態に係る車両情報管理サーバの構成］
第３の実施形態に係る車両情報管理サーバの構成は、図２に示した車両情報管理サーバ５の構成と同様なので詳細な記載を省略する。

［３－２．第３の実施形態に係る車両情報管理サーバの動作］
第３の実施形態に係る車両情報管理サーバの動作については、図５と図８に示した車両情報管理サーバ５の動作と異なる場合について記載する。

図９は、車両情報管理サーバ５による機能の変更動作を説明するフローチャートである。車両情報管理サーバ５のフラグ情報管理部２４１は、車両Ｖについての第２機能について第２利用期間が経過したかどうかを判定する（ステップＳＢ１）。具体的にはフラグ情報管理部２４１はタイマー機能を有し、第２機能が利用可能になった日時から第２利用期間が経過したかどうかを判定する。第２利用期間が経過していない場合（ステップＳＢ１：ＮＯ）、ＳＴＡＲＴに戻る。第２利用期間が経過していた場合（ステップＳＢ１：ＹＥＳ）、車両情報管理サーバ５のフラグ情報管理部２４１が第２機能を機能制限するフラグ情報を生成し（ステップＳＢ２）、フラグ情報書込部２３６が対象となる車両制御部に機能制限をおこなうフラグ情報を書き込む（ステップＳＢ３）。第２利用期間は、例えば１週間である。

なお車両情報管理サーバ５において、フラグ情報管理部２４１は課金情報管理部２４２や認証情報管理部２４３と連携してフラグ情報を生成し、対象となる車両へ配信してもよい。具体的には、例えば車両管理者がサブスクリプション契約に反して、月額利用料金を滞納している場合、課金情報管理部２４２がその情報を取得してフラグ情報管理部２４１が契約の対象として利用可能な状態になっていた機能を、機能制限の状態に戻すフラグ情報を生成し対象となる車両の車両プログラム更新装置１１０へ配信して、当該機能を制限してもよい。

［４．第４の実施形態に係るプログラム管理方法の構成］
第４の実施形態に係るプログラム更新方法は、車両に搭載された車両制御部にインストールされるプログラムを無線通信手段で配信サーバから取得するプログラム取得ステップと、プログラム取得部が取得したプログラムを車両制御部に書き込み処理をするプログラム書込ステップと、プログラム書込部が処理したプログラムから、当該プログラムに含まれる車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得ステップと、指示情報に基づいてフラグ情報を利用可能な状態または機能制限の状態にするようにプログラムに書き込むフラグ情報書込ステップと、車両制御部にインストールされたプログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つのフラグ情報を車両情報管理サーバに送信する送信ステップと、を備え、車両はフラグ情報で利用可能となっている所定の機能を実行する。

フラグ情報取得ステップは、車両の管理者によって所定の機能についての車両への実行が承認されたことに基づいて生成されるフラグ情報を取得してよい。

［５．他の実施形態］
上記実施形態では、車両管理者が車両管理者の有する携帯端末から有償オプションに相当する機能を追加する承認情報を送信する態様を示したが、携帯端末ではなく、車両Ｖが有する入力部１２５から承認情報等を入力してもよい。

また上記の実施形態では利用可能期間が経過したならば機能制限をおこなう態様を示したが、車両と車両情報管理サーバ５の通信が一定期間以上途絶した場合に、利用可能な状態にあった機能を再び制限してもよい。

［６．上記実施形態によりサポートされる構成］
上記実施形態は、以下の構成をサポートする。

（構成１）車両Ｖに搭載された車両制御部にインストールされるプログラムを無線通信手段ＷＬで配信サーバ７から取得するプログラム取得部２３１と、前記プログラム取得部２３１が取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込部２３２と、前記プログラム書込部２３２が処理した前記プログラムから、当該前記プログラムに含まれる前記車両Ｖの少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得部２３３と、指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込部２３６と、前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバ５に送信する送信部２３７と、を備え、前記車両Ｖは前記フラグ情報で利用可能となっている前記所定の機能を実行することを特徴とする車両プログラム更新装置１１０。
構成１の車両プログラム更新装置によれば、車両に搭載された装置を制御する制御装置にインストールされるプログラムのバージョンを変えることなく、機能追加や機能削除をフラグ情報の書き込みで実現できる。そのため法規制に則ったプログラムの更新管理と機能の柔軟な運用が両立され得るという効果を奏する。

（構成２）前記送信部２３７は、前記車両制御部にインストールされた前記プログラムに含まれる機能制限の状態にされた前記所定の機能に関する情報である機能制限情報を前記車両情報管理サーバ５に送信する、ことを特徴とする構成１に記載の車両プログラム更新装置。
構成２の車両プログラム更新装置によれば、各車両についてどの機能が機能制限されているのかを、車両の保守を行う側が管理できる。そのため不正な機能開放やセキュリティの低下を防ぐという効果を奏する。

（構成３）前記指示情報は、前記車両Ｖの管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成され、前記フラグ情報書込部２３６は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込むことを特徴とする構成１または構成２に記載の車両プログラム更新装置。
構成３の車両プログラム更新装置によれば、車両の管理者によって所定の機能についての車両への実行が承認されたことに基づいて生成されるフラグ情報を取得して、そのフラグ情報を車両制御部へ書き込むことができるので、車両の管理者の行動をトリガーにして保守側が機能変更のための情報を、対象となる車両に配信することができる。そのため柔軟に機能の変更することが可能になるという効果を奏する。

（構成４）前記指示情報は、前記車両の管理者によって前記所定の機能についての課金処理を完了したことに基づいて生成され、前記フラグ情報書込部２３６は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込むことを特徴とする構成１または構成２に記載の車両プログラム更新装置。
構成４の車両プログラム更新装置によれば、車両の管理者による課金に応じて柔軟な機能の変更が可能になるという効果を奏する。

（構成５）所定の第１機能について、予め定められた第１利用可能期間の間、前記利用可能な状態が許可されている場合、前記第１利用可能期間が経過した後に前記第１機能について前記機能制限の状態とする前記フラグ情報を生成するフラグ情報生成部２３４をさらに備える、ことを特徴とする構成１から構成４のうちのいずれかに記載の車両プログラム更新装置。
ＯＴＡによる通信を意図的に妨げて、時限キャンペーンのもとで配信された機能のアップグレードを恒久化しようとする悪意の試みも考えられる。構成５の車両プログラム更新装置によれば、車両プログラム更新装置自体が機能制限を行うためのフラグ情報を生成し、所定の利用期間が経過した後に機能制限することが可能になる。そのため不正な機能の変更を防ぐことができるという効果を奏する。

（構成６）構成１から構成５のうちのいずれかに記載の車両プログラム更新装置１１０を搭載する、ことを特徴とする車両。
構成６の車両によれば、車両に搭載された装置を制御する制御装置にインストールされるプログラムのバージョンを変えることなく、機能追加や機能削除をフラグ情報のプログラムへの書き込みで実現できる。そのため法規制に則ったプログラムの更新管理と機能の柔軟な運用が両立され得るという効果を奏する。

（構成７）車両Ｖを管理する車両情報管理サーバ５であって、無線通信手段ＷＬを介して前記車両Ｖに搭載された車両制御部にインストールされるプログラムを取得して管理をおこなう車両プログラム更新装置１１０に対して、前記プログラムに含まれて前記車両制御部の機能について、前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を管理するフラグ情報管理部２４１を有する、ことを特徴とする車両情報管理サーバ５。
構成７の車両情報管理サーバによれば、車両に搭載された装置を制御する制御装置にインストールされるプログラムのバージョンを変えることなく、機能追加や機能削除をフラグ情報の管理が実現できる。そのため法規制に則ったプログラムの更新管理と機能の柔軟な運用が両立されるという効果を奏する。

（構成８）前記フラグ情報管理部２４１は、前記車両Ｖの管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて前記フラグ情報を管理する、ことを特徴とする構成７に記載の車両情報管理サーバ。
構成８の車両情報管理サーバによれば、車両の管理者によって所定の機能についての車両への実行が承認されたことに基づいて生成されるフラグ情報を管理することができるので、車両の管理者の行動をトリガーにして保守側が機能変更のための情報を、対象となる車両に配信することができる。そのため柔軟に機能の変更が可能になるという効果を奏する。

（構成９）前記フラグ情報管理部２４１は、所定の第２機能について、予め定められた第２利用可能期間の間、前記利用可能な状態が許可されている場合、前記第２利用可能期間が経過した後に前記第２機能について前記機能制限の状態とする前記フラグ情報を生成する、ことを特徴とする構成７または構成８に記載の車両情報管理サーバ。
構成８の車両情報管理サーバによれば、車両の機能の変更を可能にするフラグ情報を車両情報管理サーバで管理できるので、市場に出回っている対象となる複数の車両に対して、一定の期間、機能変更を試用してもらうキャンペーンを一斉におこなうことができる。そのため機能変更に伴うビジネスを円滑に行うことが可能になるという効果を奏する。

（構成１０）車両に搭載された車両制御部にインストールされるプログラムを無線通信手段ＷＬで配信サーバ７から取得するプログラム取得ステップと、前記プログラム取得ステップで取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込ステップと、前記プログラム書込ステップで処理した前記プログラムから、当該前記プログラムに含まれる前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得ステップと、指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込ステップと、前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバに送信する送信ステップと、を備え、前記車両は前記フラグ情報で利用可能となっている前記所定の機能を実行することを特徴とするプログラム更新方法。
構成１０のプログラム更新方法によれば、車両に搭載された装置を制御する制御装置にインストールされるプログラムのバージョンを変えることなく、機能追加や機能削除をフラグ情報のプログラムへの書き込みで実現できる。そのため法規制に則ったプログラムの更新管理と機能の柔軟な運用が両立されるという効果を奏する。

（構成１１）前記フラグ情報取得ステップは、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成される前記フラグ情報を取得する、ことを特徴とする構成１０に記載のプログラム更新方法。
構成１１のプログラム更新方法によれば、車両の管理者によって所定の機能についての前記車両への実行が承認されたことに基づいて生成されるフラグ情報を取得して、そのフラグ情報を車両制御部へ書き込むことができるので、車両の管理者の行動をトリガーにして保守側が機能変更のための情報を、対象となる車両に配信することができる。そのため例えば課金に応じて柔軟な機能の変更が可能になるという効果を奏する。

以上のように、本出願において開示する技術の例示として、第１～第４の実施形態を説明した。しかしながら、本開示における技術は、これに限定されず、変更、置き換え、付加、省略などを行った実施の形態にも適用できる。また、上記実施の形態で説明した各構成要素を組み合わせて、新たな実施の形態とすることも可能である。

例えば、図５、図６、図８、図９に示す動作のステップ単位は、車両プログラム管理システム１が含む車両情報管理サーバ５や車両プログラム更新装置１１０の動作の理解を容易にするために、主な処理内容に応じて分割したものであり、処理単位の分割の仕方や名称によって、本発明が限定されることはない。処理内容に応じて、さらに多くのステップ単位に分割してもよい。また、１つのステップ単位がさらに多くの処理を含むように分割してもよい。また、そのステップの順番は、本発明の趣旨に支障のない範囲で適宜に入れ替えてもよい。

１…車両プログラム管理システム、５…車両情報管理サーバ、７…配信サーバ、１０…機器認証サーバ、１００…車両制御部、１０１…車載機器、１０２…バス、１１０…車両プログラム更新装置、１２２…ＴＣＵ、１２５…入力部、１２６…出力部、１３１…ＩＶＩシステム、１３３…シフトＥＣＵ、１３４…ステアリングＥＣＵ、１３５…メーターＥＣＵ、１３６…時刻提供部、１４１…ＳＷ－ＩＶＩ、１４２…ＳＷ－ＥＧ、１４３…ＳＷ－ＳＦ、１４４…ＳＷ－ＳＴ、１４５…ＳＷ－ＭＴ、１５２…エンジン、１５３…シフト装置、１５４…ステアリング装置、１５５…メーター、１６０…制御装置、１７０…プロセッサ、１７２…記憶部、１７６…フラグ情報記憶領域、１８０…制御装置、１９０…プロセッサ、１９２…記憶部、１９４…プログラム記憶領域、２３１…プログラム取得部、２３２…プログラム書込部、２３３…フラグ情報取得部、２３４…フラグ情報生成部、２３６…フラグ情報書込部、２３７…送信部、２４１…フラグ情報管理部、２４２…課金情報管理部、２４３…認証情報管理部、２４４…プログラム構成管理部、Ｂ…基地局、Ｖ…車両、Ｎ…通信ネットワーク、ＷＬ…無線通信手段。

Claims (11)

1. 車両に搭載された車両制御部にインストールされるプログラムを無線通信手段で配信サーバから取得するプログラム取得部と、
   前記プログラム取得部が取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込部と、
   前記プログラム書込部が処理した前記プログラムから、当該前記プログラムに含まれる前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得部と、
   指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込部と、
   前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバに送信する送信部と、
   を備え、
   前記車両は前記フラグ情報で利用可能となっている前記所定の機能を実行することを特徴とする車両プログラム更新装置。
2. 前記送信部は、前記車両制御部にインストールされた前記プログラムに含まれる機能制限の状態にされた前記所定の機能に関する情報である機能制限情報を前記車両情報管理サーバに送信する、ことを特徴とする請求項１に記載の車両プログラム更新装置。
3. 前記指示情報は、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成され、前記フラグ情報書込部は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込むことを特徴とする請求項１または請求項２に記載の車両プログラム更新装置。
4. 前記指示情報は、前記車両の管理者によって前記所定の機能についての課金処理を完了したことに基づいて生成され、
   前記フラグ情報書込部は当該指示情報に基づいて前記フラグ情報を前記プログラムに書き込むことを特徴とする請求項１または請求項２に記載の車両プログラム更新装置。
5. 所定の第１機能について、予め定められた第１利用可能期間の間、前記利用可能な状態が許可されている場合、前記第１利用可能期間が経過した後に前記第１機能について前記機能制限の状態とする前記フラグ情報を生成するフラグ情報生成部をさらに備える、ことを特徴とする請求項１から請求項４のうちのいずれか一項に記載の車両プログラム更新装置。
6. 請求項１から請求項５のうちのいずれか一項に記載の車両プログラム更新装置を搭載する、ことを特徴とする車両。
7. 車両を管理する車両情報管理サーバであって、無線通信手段を介して前記車両に搭載された車両制御部にインストールされるプログラムを取得して管理をおこなう車両プログラム更新装置に対して、前記プログラムに含まれて前記車両制御部の機能について、前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を管理するフラグ情報管理部を有する、ことを特徴とする車両情報管理サーバ。
8. 前記フラグ情報管理部は、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて前記フラグ情報を管理する、ことを特徴とする請求項７に記載の車両情報管理サーバ。
9. 前記フラグ情報管理部は、所定の第２機能について、予め定められた第２利用可能期間の間、前記利用可能な状態が許可されている場合、前記第２利用可能期間が経過した後に前記第２機能について機能制限の状態とする前記フラグ情報を生成する、ことを特徴とする請求項７または請求項８に記載の車両情報管理サーバ。
10. 車両に搭載された車両制御部にインストールされるプログラムを無線通信手段で配信サーバから取得するプログラム取得ステップと、
    前記プログラム取得ステップで取得した前記プログラムを前記車両制御部に書き込み処理をするプログラム書込ステップと、
    前記プログラム書込ステップで処理した前記プログラムから、当該前記プログラムに含まれる前記車両の少なくとも１つの所定の機能が利用可能な状態かを示すフラグ情報を取得するフラグ情報取得ステップと、
    指示情報に基づいて前記フラグ情報を利用可能な状態または機能制限の状態にするように前記プログラムに書き込むフラグ情報書込ステップと、
    前記車両制御部にインストールされた前記プログラムについてのバージョン情報と、当該プログラムに含まれる少なくとも１つの前記フラグ情報を車両情報管理サーバに送信する送信ステップと、
    を備え、
    前記車両は前記フラグ情報で利用可能となっている前記所定の機能を実行する
    ことを特徴とするプログラム更新方法。
11. 前記フラグ情報取得ステップは、前記車両の管理者によって前記所定の機能についての前記車両への実行が承認されたことに基づいて生成される前記フラグ情報を取得する、ことを特徴とする請求項１０に記載のプログラム更新方法。

Images